En del av bekymmerna om att du vill att kärnan ska hantera den säkra start på låg nivå är att Microsoft-nycklar kan användas för att hacka systemet, och om det händer fruktar de att Microsoft kommer att inaktivera nyckeln och därmed Linux-datorer. låt dem springa med den nyckeln (och ingen vill ha det).
Allt började med en dragförfrågan från David Howells som gjorde det möjligt för Microsoft-signerade binära nycklar att laddas dynamiskt i kärnan som körs i säkert startläge. Den med filten tyckte att det var skitsnack och att det skulle vara bättre att förbättra X.509-parsern. Matthew Garrett svarar att det bara finns en signeringsmyndighet och att de bara signerar PE-binärer (bärbara körbara filer). Och här släpper Linus sin vassa tunga och säger:
Killar, det här är inte en kuk suger tävling. Om du vill analysera PE-binärer, fortsätt. Om Red Hat vill fråga dig djup hals till Microsoft är det * ditt * problem. Det har ingenting att göra med kärnan som jag underhåller. Det är trivialt för dig att ha en signeringsmaskin som analyserar PE-binären, verifierar signaturerna och signerar de resulterande nycklarna med sin egen nyckel. De har redan skrivit koden av Gud, den är i den där jävla ordningen. Varför skulle jag bry mig? Varför ska kärnan ge en skit som "vi signerar bara PE-binärer"? Vi stöder X.509, vilket är standarden för signering. Gör det på användarens sida på en pålitlig maskin. Det finns ingen ursäkt för att göra det i kärnan.
Matthew svarar:
Säljare vill ta med nycklar signerade av en betrodd tredje part. Nu är det enda som mäter Microsoft, eftersom det enda som säljare älskar mer än skit firmware följer Microsofts specifikationer. Motsvarande är inte bara Red Hat (eller vad som helst) omsignering av dessa nycklar programmatiskt, det är att signera om dessa nycklar med en betrodd nyckel av uppströms kärnan. Skulle du vara beredd att ha en betrodd nyckel som standard om en medlem i det betrodda samhället är värd för en omsigneringstjänst? Eller antar vi att alla som vill starta externa moduler är en idiot och förtjänar att vara eländiga?
Linus svarar att han tvivlar på att någon bryr sig. Att det redan är dumt att signera kärnmoduler med en Microsoft-nyckel. Red Hat kommer också att underteckna NVIDIA och AMD binära moduler. Peter Jones säger nej, att Red Hat inte kommer att underteckna någon modul byggd av en annan. Garret tillägger att RHEL slutar förlita sig på nycklar från NVIDIA och AMD och att det är mycket troligt att de kommer att baseras på Microsofts signeringstjänst.
Och det är här jag pausar och sammanfattar delvis och brutalt för dem som inte vill gå in på tekniska detaljer:
All utveckling kring den säkra start har blivit galen, men för att hårdvaruleverantörerna (åtminstone de största) fortfarande vill djupa halsen på Microsoft.
Så Linus bestämde sig för att lägga fram följande förslag, så de slutar knulla ...…:
Klipp av den med skrämsel.
Det här är vad jag skulle föreslå, och det är baserat på SANN SÄKERHET och SÄTT ANVÄNDAREN FÖRST istället för hans "låt oss skämma bort Microsoft genom att göra skit".
Så istället för att glädja Microsoft, låt oss försöka se hur vi verkligen kan lägga till säkerhet:
- en distro måste underteckna sina egna moduler OCH INGET MER standard. Och det borde inte tillåta att någon annan modul laddas som standard heller, för varför ska det då? Och vad i helvete har ett Microsoft-företag att göra med något annat?
- Innan du laddar andra moduler från tredje part, se till att det finns fråga användaren om tillstånd. På konsolen. Utan att använda nycklar. Inget av det. Nycklarna äventyras. Försök att begränsa skadan, men ännu viktigare, låt användaren ha kontroll.
- Animera saker som slumpmässiga nycklar per värd - med dumma UEFI-kontroller avaktiverade vid behov. De kommer nästan definitivt att vara säkrare så beroende på någon galen rot tillit baserat på ett stort företag, med undertecknande myndigheter som litar på alla som har ett kreditkort. Försök att lära dessa saker till människor. Uppmuntra människor att skapa sina egna (slumpmässiga) nycklar och lägga till dem i sina UEFI-inställningar (eller inte: allt om UEFI handlar mer om kontroll än säkerhet), och sträva efter att göra saker som engångssignering med nyckeln privat kasseras. Med andra ord, försök att animera den typen av säkerhet som "vi ser till att fråga användaren uttryckligen med stora varningar och skapa en egen nyckel för just den modulen." Verklig säkerhet, inte säkerhet "vi kontrollerar användaren."
Visst, användare kommer att skruva upp det också. De kommer att vilja ladda NVIDIA-binära moduler och allt skit. Men låt det vara SU beslut och under SU kontroll istället för att berätta för världen hur detta ska välsignas av Microsoft.
Eftersom detta inte bör handla om MS-välsignelser, utan om användaren välsignar kärnmodulerna.
Ärligt talat, du är vad de galna anti-nyckelpersonerna fruktar. Du säljer shitware för "kontroll, inte säkerhet". Alla "MS äger din maskin" är bara fel sätt att använda lösenord.
Från och med då lugnade tråden ... och det är inte värt att följa.
Vänner till DesdeLinux. Idag firar jag ett år som redaktör på en Linuxblogg, trots att jag inte debuterat som sådan här utan på Frannoes blogg, som på den tiden hette Ubuntu Cosillas och som idag är LMDE Cosillas. Och det var där den 2 mars när jag skrev det första kapitlet i den här firmwaresagan som jag senare fortsatte här. Jag vill tacka alla som läser mig och har läst mig, speciellt Frannoe och hela personalen på Desdelinux för att ha gjort en plats åt mig. Om det inte vore för att jag hade gått kursen i avancerad funktionell programmering och en kollega som föreslog att jag skulle använda Linux för att arbeta med ghc, är jag säker på att jag fortfarande skulle bry mig om allt om Linux.
Jag kommer att avsluta med den här meningen: "Om du inte ropar din okunnighet kommer ingen ut för att korrigera dig och därför kommer du att ha rätt att ha fel"
Relevanta inlägg från kärnpostlistan:
https://lkml.org/lkml/2013/2/21/196
https://lkml.org/lkml/2013/2/21/228
https://lkml.org/lkml/2013/2/21/275
https://lkml.org/lkml/2013/2/25/487
Frågan är att om tillverkarna av bärbara datorer och andra definitivt står bakom Wintels UEFI (vi får inte glömma att UEFI är Intels idé), och i värsta fall beslutar de alla att inte inkludera alternativet att avaktivera det, Linux-distros kommer att se svarta ut om de inte har signaturen, och jag tror att det är något människorna på RedHat märkte. Jag vill se vad de ska göra om ett par år när Linux inte kan installeras på någon ny dator eftersom den inte har signaturen.
I värsta fall signerar distributionerna kärnan med nycklarna signerade av Microsoft. Det är faktiskt vad flera redan gör.
Vad Torvalds säger är att detta måste lösas på varje distro, eftersom kärnan inte kommer att göra det. Och detta är det mest förnuftiga, det har ingen avkastning.
Linus är min favoritpersonlighet i den verkliga världen. Det är som om han har tagits ut ur en Quentin Tarantino-film och fått ansvaret för ett samhälle. Du har rätt i vad du säger.
Och LinuxMint-maskinerna kommer med UEFI / Secure boot? Jag insisterar på att när jag behöver en, så kommer jag att köpa en av dem.
Mitt knä är ett år gammalt, när jag behöver en annan tror jag att UEFI / Secure boot-sak redan kommer att vara väl löst, eller ordentligt implementerat, eller ordentligt eliminerat, ha.
Jag tvivlar verkligen på det, det är omöjligt för även om mintboxen är utformad för att användas med linuxmint, fedora, ubuntu och debian, som det står i specifikationerna så det skulle vara dumt att sätta säker start till något som säkert kommer att ha dualboot, eller det är utformat för gratis eller måttligt fri programvara i fallet med Ubuntu XD.
Det är en fråga som alltid har skapat kontroverser sedan den kom ut. Det är intressant att se hur han utvecklas och som Alf tror jag att saker och ting på medellång sikt kommer att förbättras. Det finns tillverkare som alltid kommer att tillåta avaktivering av säker start och andra som redan har Linux förinstallerat som ThinkPenguin eller System76, jag hoppas att med tiden kommer fler och fler att föda för att ha ett val ... Jag föredrar alltid att köpa något som är 100% kompatibelt med Linux garanterat att spela dem med någon annan maskin.
Jag förstår fortfarande inte så bra dessa shenanigans från UEFI och andra .. Shit .. förresten diazepan: Grattis! Det är ett nöje för oss att ha dig här.
I slutändan kommer vi att köpa ren serverutrustning, det vill säga om de inte transporterar den här skiten dit.
Det borde vara en stor person som de flesta av de stora och kritiska servrarna arbetar med Linux och många av dem (beroende på deras hantering) är extremt säkra, som om de antar att detta säkerhetsdrag kommer att döda all den skadliga programvaran.
Som alltid håller jag MYCKET med vad Linus framhåller, som han med rätta säger, detta UEFI-ämne handlar mer om "kontroll" än "säkerhet." För min del litar jag inte alls på den här förmodade säkerhetsmekanismen och om en dator med UEFI hamnar i mina händer är det första jag kommer att göra att inaktivera den och fortsätta som tidigare. Å andra sidan tror jag inte att tillverkare av utrustning kommer att förhindra att UEFI inaktiveras eftersom de riskerar att förlora marknadsandelar. att det kommer att finnas någon som riskerar eller åtminstone gör det i vissa specifika modeller, jag tvivlar inte på det, men jag tror att det alltid kommer att finnas lösningar, kom ihåg att detta inte är något annat än ett BIOS på steroider och möjligheten att uppgradera det med "öppna" versioner kommer alltid att vara latent.
Så vitt jag vet fungerar eufi bara för win8 om du vill ha ett dual boot-system eftersom du kan inaktivera bios, själv så det spelar ingen roll om du bara har Linux och inaktiverar det alternativet från bios och det finns ingen anledning att vara så mycket krångel om problemet .
Det här ämnet är lite stort för mig, men genom personligt avdrag ser jag att Microsoft-dockorna började se dem svarta när de såg hur mogen Linux är .... Och hur de monopoliserar de stora tillverkarna sedan tidens början, för mig är det tydligt varför så mycket besvär med den jävla säkra stöveln ... till och med något stort eller medelstort företag antar jag att jag skulle ta andra alternativ utan räknar med mer och där kommer jag att köpa min nästa maskin ... det är säkert 😉